В этом разделе приведены инструкции по переходу с классического интерфейса на интерфейс Edge с использованием IDP, например LDAP или SAML.
Статьи по теме
Кто может выполнить перенос
Чтобы перейти на интерфейс Edge, необходимо войти в систему как пользователь, который изначально установил Edge, или как пользователь с правами root. После запуска установщика интерфейса Edge любой пользователь может настроить их.
Подготовка
Прежде чем переходить с классического интерфейса на интерфейс Edge, ознакомьтесь с общими рекомендациями ниже.
- Как создать резервную копию существующих узлов классического интерфейса
Прежде чем выполнять обновление, Apigee рекомендует создать резервную копию существующего сервера классического интерфейса.
- Порты и брандмауэры
По умолчанию классический интерфейс использует порт 9000. В интерфейсе Edge используется порт 3001.
- Новая виртуальная машина
Интерфейс Edge нельзя установить на ту же ВМ, что и классический интерфейс.
Чтобы установить интерфейс Edge, необходимо добавить в конфигурацию новую машину. Если вы хотите использовать ту же машину, что и для классического интерфейса, то должны полностью удалить классический интерфейс.
- Поставщик идентификационной информации (LDAP или SAML)
Для аутентификации пользователей в интерфейсе Edge используется IDP на основе SAML или LDAP:
- LDAP. Для LDAP можно использовать внешний поставщик идентификационной информации LDAP или внутреннюю реализацию OpenLDAP, которая устанавливается вместе с Edge.
- SAML. Поставщик идентификационной информации SAML должен быть внешним.
Подробнее о том, как установить и настроить поставщиков идентификационной информации…
- Тот же поставщик идентификационной информации
В этом разделе предполагается, что после переноса вы будете использовать того же поставщика идентификационной информации. Например, если вы используете внешний поставщик идентификационной информации LDAP с классическим интерфейсом, то продолжите использовать его и с интерфейсом Edge.
Перенос с внутренним поставщиком идентификационной информации LDAP
При переходе с классического интерфейса на интерфейс Edge в конфигурации, в которой в качестве поставщика идентификационной информации используется реализация LDAP internal (OpenLDAP), следуйте приведенным ниже рекомендациям.
- Настройка косвенной привязки
Установите интерфейс Edge, следуя этим инструкциям, и внесите следующие изменения в файл конфигурации автоматической установки:
Настройте LDAP на использование поиска и привязки (косвенно), как показано в следующем примере:
SSO_LDAP_PROFILE=indirect SSO_LDAP_BASE_URL=ldap://localhost:10389 SSO_LDAP_ADMIN_USER_DN=uid=admin,ou=users,ou=global,dc=apigee,dc=com SSO_LDAP_ADMIN_PWD=Secret123 SSO_LDAP_SEARCH_BASE=dc=apigee,dc=com SSO_LDAP_SEARCH_FILTER=mail={0} SSO_LDAP_MAIL_ATTRIBUTE=mail - Базовая аутентификация для API управления
Базовая аутентификация для API по умолчанию продолжает работать для всех пользователей LDAP, когда включена система единого входа Apigee. При необходимости вы можете отключить базовую аутентификацию, как описано в разделе Отключение базовой аутентификации в Edge.
- Аутентификация OAuth2 для API управления
Аутентификация на основе токенов включается при включении SSO.
- Новый пользователь/пароль
Создавать новых пользователей необходимо с помощью API, поскольку в пользовательском интерфейсе Edge больше не будут работать потоки паролей.
Как выполнить перенос с внешним поставщиком идентификационной информации LDAP
При переходе с классического интерфейса на интерфейс Edge в конфигурации, в которой в качестве поставщика идентификационной информации используется внешняя реализация LDAP, следуйте приведенным ниже рекомендациям.
- Конфигурация LDAP
Установите интерфейс Edge, следуя этим инструкциям. В файле конфигурации для автоматической установки можно настроить прямую или непрямую привязку.
- Настройка сервера управления
После включения Apigee SSO необходимо удалить все внешние свойства LDAP, определенные в файле
/opt/apigee/customer/application/management-server.properties, и перезапустить сервер управления. - Базовая аутентификация для API управления
Базовая аутентификация работает для пользователей машин, но не для пользователей LDAP. Они будут критически важны, если в вашем процессе CI/CD для доступа к системе по-прежнему используется базовая аутентификация.
- Аутентификация OAuth2 для API управления
Пользователи LDAP могут получить доступ к API управления только с помощью токенов.
Перенос с внешним поставщиком идентификационной информации SAML
При переходе на интерфейс Edge инструкции по установке для поставщика идентификационной информации SAML не меняются.